VPN-innlogging og deretter løsepengeprogram: kva prova støttar

Alt nedanfor brukar ei hypotetisk loggføring, sett saman for å vise ein form og ikkje for å skildre ei verkeleg sak. Ho blir lesen som ei kjede: ein gateway-autentisering klokka 02:14, ei skrivebordsøkt klokka 02:19, ei endring av ein privilegert konto klokka 02:41 og krypterte filer funne klokka 03:02. Den første linja ser ut som svaret, og rapporten blir ofte skriven som om ho er det. Ei innlogging er ein hending ein gateway registrerte, ikkje ein konklusjon om korleis nokon kom inn, og den skilnaden avgjer kva du gjer vidare.

Symptomet: ei innlogging som ser ut som svaret

Autentiseringsloggar er dei enklaste prova å skaffe og dei enklaste å overfortolke. Dei viser at tenesta godtok ei legitimering på eit tidspunkt, frå ei adresse, for ein konto. Dei viser ikkje kven som kontrollerte legitimeringa, om gatewayen vart utnytta, eller om eininga til kontoeigaren allereie var kompromittert.

Tre forklaringar passar på same innloggingslinje. Nokon brukte eit stole passord, og gatewayen gjorde nøyaktig det han er bygd for. Ein berbar datamaskin som var kompromittert tidlegare, logga ganske enkelt inn som vanleg. Ei urelatert eksponert teneste gav den eigentlege inngangen, og VPN-økta er ei seinare, separat handling av same aktør.

Kvar forklaring varslar om ulike prov andre stader i miljøet, difor må undersøkinga leite etter desse varsla og ikkje etter stadfesting av den første som passar. Eit stole passord varslar om uvanleg autentiseringsgeografi eller -tid. Ein kompromittert berbar datamaskin varslar om vertsartefaktar før innlogginga. Eit urelatert inngangspunkt varslar om aktivitet som ikkje har noko med gatewayen å gjere i det heile.

Hald hendingane atskilde før du fortel om dei

Skriv hendingane ned kvar for seg før noka forteljing finst, fordi ei forteljing inviterer til å ordne tidslinja rundt ein mistenkt. Kvar linje skal seie kva den loggføringa fastslår og, separat, kva ho ikkje kan fastslå åleine. I det augneblinken to linjer smeltar saman til éi setning, har ei tolking allereie vunne.

Legg merke til at den siste hendinga handlar om oppdaging og ikkje om åtakkaren. Oppdagingstid og kompromitteringstid ligg rutinemessig timar eller veker frå kvarandre, og ein rapport som likestiller dei vil villeie kvar lesar som kjem etter deg.

Registrer kvar kvart tidsstempel kom frå, ikkje berre kva det seier. Mottakstid for ein samlar, hendingstid og oppdagingstid er tre ulike tal, og å normalisere dei stille til éin kolonne er korleis ei tidslinje får ei form prova aldri hadde.

Slå berre saman loggar der identifikatorane stemmer

Å slå saman loggar er ein hypotese, ikkje eit formateringstrinn. Kontonamnet, den tildelte VPN-adressa, målverten og øktidentifikatoren må stemme før to rader blir éi historie. Ei delt offentleg adresse er ikkje nok, fordi ho er delt av design.

Les tabellen nedanfrå og opp når du sporar ein inngang, og ovanfrå og ned når du avgrensar påverknaden, fordi dei to spørsmåla treng motsette retningar. Der identifikatorane faktisk stemmer, seie det og vis til båe loggane. Der dei ikkje gjer det, lat gapet vere synleg i staden for å lukke det med ei antaking.

Her villeier også eit kjent brukarnamn. Den same kontoen kan brukast av den rettmessige eigaren om morgonen og av nokon andre om natta, og kontonamnet åleine kan ikkje skilje dei. Tilskriv kontoen, tilskriv deretter personen separat, og berre når noko støttar det. Dei fleste tidslinjer som fell frå kvarandre i gjennomgang, gjorde nettopp dette trinnet for raskt.

Manglende loggar er eit gap, ikkje eit negativt prov

Fråværet av hendingar med mislukka passord provar ikkje at den vellukka innlogginga var legitim. Gyldige stolne legitimeringar gir ein vellukka autentiseringslogg og ingen feil i det heile, og det er nettopp det som gjer tjuveri av legitimering attraktivt.

På same måte seier ein port som er stengd i dag noko om i dag. Han seier ingenting om kvidt den tenesta var eksponert då, kvidt ho var sårbar då, eller kvidt ho bar åtaket. Historisk konfigurasjon og tenesteprov er den einaste måten å lukke det gapet på.

Oppgi gapet eksplisitt i rapporten. «Vi har ingen loggar for det intervallet» er ei forsvarleg setning; «ingenting anna skjedde» er det ikkje, og det vil bli sitert tilbake til deg. Gap har også eigarar: nemn systemet som skulle ha produsert loggen, og kvifor det ikkje gjorde det. Den linja gjer ei utelating om til eit utbetringspunkt.

Skriv funn på det nivået prova støttar

Koordiner bevaring, inneslutting og gjenoppretting gjennom hendingseigaren i staden for utanom vedkomande. Den tekniske rettleiinga til CISA legg vekt på å samle relevante artefaktar og loggar før utbetring endrar kva som framleis er tilgjengeleg, og den rekkjefølgja betyr meir enn noko einskilt verktøy.

Å køyre eit antatt exploit på nytt mot levande utstyr for å lukke gapet er ikkje den ekstra risikoen verdt. Ein test som viser at eit åtak kunne fungere, er ikkje prov for at det gjorde det, og skilnaden mellom dei to påstandane er heile disiplinen i øvinga.

Avslutt med fire lister: kva som vart observert, kva relasjonar loggane støttar, kva som blir verande hypotese og kva loggar som ikkje er tilgjengelege. «Ein VPN-konto vart brukt under hendinga» høyrer til den andre lista når loggane støttar det. «VPN forårsaka løsepengeprogrammet» høyrer ingen stad heime før noko fastslår årsakssamanheng.